PT-2020-19268
CVE-2020-6856
·
Publicado
2020-02-06
·
Atualizado
2020-02-07
Descrição por
CVSS 3.1
6.5
MédiaMétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
SOS JobScheduler, versões 1.12 a 1.13.2
Descrição
Existe uma vulnerabilidade no componente JOC Cockpit que permite que invasores leiam arquivos do servidor por meio de uma declaração de entidade em documentos XML utilizados para configurações de tempo de execução de tarefas e ordens.
Recomendações
Para as versões 1.12 a 1.13.2 do SOS JobScheduler, considere desativar o processamento de Entidades Externas XML (XEE) no componente JOC Cockpit até que um patch esteja disponível. Restrinja o acesso a arquivos confidenciais no servidor para minimizar o risco de exploração.
Explorabilidade
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾